Articolo Pubblicazioni

MOVEit: quando il trasferimento di file diventa il punto d’ingresso

di · Pubblicato il 17 luglio 2023

Abstract

Alla fine di maggio 2023 il gruppo criminale Cl0p ha sfruttato una vulnerabilità non ancora nota del software di trasferimento file MOVEit Transfer per sottrarre dati a centinaia di organizzazioni in tutto il mondo, molte delle quali colpite attraverso i propri fornitori. L’articolo descrive la vulnerabilità, la tecnica di attacco, le correzioni e le lezioni per chi usa applicazioni di scambio file esposte a Internet.

Vincenzo Calabrò | MOVEit: quando il trasferimento di file diventa il punto d’ingresso
 

Che cosa è successo

MOVEit Transfer, prodotto da Progress Software, è un’applicazione usata da aziende ed enti per scambiare file in modo controllato con clienti, partner e fornitori, spesso dati personali o finanziari. Il 31 maggio 2023 Progress ha pubblicato un avviso su una vulnerabilità critica, poi identificata come CVE-2023-34362. Le analisi successive hanno mostrato che lo sfruttamento era iniziato già il 27 maggio, durante un fine settimana festivo negli Stati Uniti. Il gruppo criminale Cl0p ha rivendicato la campagna.

La tecnica

La vulnerabilità era una SQL injection nell’interfaccia web dell’applicazione, sfruttabile senza autenticazione. Gli attaccanti la usavano per installare una web shell, un piccolo programma che permetteva di interrogare il database di MOVEit, elencare i file conservati e scaricarli. In molti casi il furto dei dati è avvenuto in poche ore, prima che le vittime sapessero dell’esistenza della vulnerabilità. Nelle settimane successive sono state scoperte altre vulnerabilità dello stesso tipo, corrette con nuovi aggiornamenti.

Estorsione senza cifratura

Cl0p non ha cifrato i sistemi delle vittime. Ha sottratto i dati e ha poi pubblicato sul proprio sito un invito a contattarlo, minacciando la pubblicazione dei dati per chi non avesse pagato. Il gruppo aveva già condotto campagne simili contro altri prodotti di trasferimento file, come Accellion FTA nel 2021 e GoAnywhere MFT all’inizio del 2023. Il modello è efficace per l’attaccante, perché un’unica vulnerabilità in un prodotto diffuso dà accesso ai dati di molte organizzazioni contemporaneamente.

Le vittime

Le organizzazioni colpite sono centinaia, in diversi paesi, e il numero delle persone i cui dati sono stati sottratti è nell’ordine dei milioni. Molte vittime non usavano direttamente MOVEit. Sono state colpite attraverso fornitori di servizi, come società di elaborazione delle buste paga, fondi pensione, gestori di servizi amministrativi, che usavano il prodotto per ricevere e inviare i dati dei clienti. Tra le organizzazioni che hanno comunicato di essere state coinvolte, direttamente o tramite fornitori, ci sono agenzie governative statunitensi, emittenti, compagnie aeree, università e banche.

La dimensione della supply chain

Il caso mostra una forma particolare di rischio della catena di fornitura. I dati di un’azienda possono trovarsi nei sistemi di un fornitore, che a sua volta usa un prodotto di terze parti esposto a Internet. Una vulnerabilità in quel prodotto colpisce l’azienda anche se i suoi sistemi sono perfettamente protetti. Per molte vittime la prima notizia è arrivata dal fornitore, a volte dopo settimane.

Che cosa fare

Le indicazioni per chi gestisce applicazioni di trasferimento file, e per chi affida loro i propri dati, sono queste:
  1. censire le applicazioni di scambio file esposte a Internet, comprese quelle installate da singoli reparti o fornitori, e verificarne gli aggiornamenti;
  2. conservare sul sistema solo i file necessari e per il tempo strettamente necessario, cancellando automaticamente quelli già scaricati dai destinatari;
  3. limitare l’accesso all’interfaccia di amministrazione e, dove possibile, all’intera applicazione ai soli indirizzi dei partner;
  4. monitorare i log dell’applicazione e del server web per individuare file sconosciuti, query anomale e trasferimenti massivi;
  5. chiedere ai fornitori quali prodotti usano per ricevere e conservare i dati, con quali tempi di aggiornamento e con quali obblighi di notifica in caso di incidente;
  6. preparare una procedura per gestire la notifica agli interessati e alle autorità quando la violazione avviene presso un fornitore.

Gli obblighi quando il fornitore è colpito

In molti casi MOVEit la violazione è avvenuta presso un responsabile del trattamento, cioè il fornitore che gestiva i dati per conto del cliente. Il GDPR distribuisce gli obblighi in modo preciso. Il responsabile deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, come prevede l’articolo 33. Il titolare deve notificare l’autorità di controllo entro 72 ore dal momento in cui ne è venuto a conoscenza e, se il rischio per le persone è elevato, comunicare la violazione agli interessati.
La catena funziona solo se è stata preparata. Il contratto con il fornitore dovrebbe stabilire tempi massimi per la comunicazione, il contenuto minimo delle informazioni da fornire, cioè dati coinvolti, numero di persone, misure adottate, e un punto di contatto per la gestione della crisi. Conviene anche sapere in anticipo quali dati si trovano presso ciascun fornitore, perché nelle prime ore la domanda più urgente è chi deve essere avvisato, e senza un registro aggiornato la risposta richiede giorni.

Pagare o no

Nelle campagne di estorsione basate sul furto di dati la decisione di pagare è ancora più discutibile che nei casi di cifratura. Pagare non restituisce nulla, perché i dati restano nelle mani degli attaccanti, e la promessa di cancellarli non è verificabile. Le autorità di diversi paesi sconsigliano il pagamento e ricordano che non esonera dagli obblighi di notifica previsti dal GDPR. Per gli interessati il rischio principale è l’uso dei dati in frodi e campagne di phishing mirate, ed è su questo che le organizzazioni dovrebbero concentrare le comunicazioni e le misure di supporto.

Per l’indagine

Chi ha usato le versioni vulnerabili deve verificare se è stato compromesso, anche se ha installato l’aggiornamento. Le tracce principali sono la presenza della web shell nei file dell’applicazione, le richieste anomale nei log del server web, gli account creati senza motivo e i trasferimenti di grandi quantità di dati verso indirizzi sconosciuti. Prima di ripulire il sistema conviene conservarne un’immagine forense, perché servirà a stabilire quali file sono stati sottratti e quindi chi deve essere avvisato.
 
Vedi anche: l’articolo del 2020 SolarWinds, l’articolo del 2023 Good practices per la supply chain e l’articolo del 2021 Log4Shell.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn